网络攻击链

信息安全入侵攻击链

网络攻击链是指攻击者实施网络攻击的过程。 洛克希德·马丁公司将“杀伤链”的概念从军事领域应用于信息安全领域，将其作为一种对计算机网络入侵进行建模的方法。 网络攻击链模型在信息安全界得到了一些应用。 然而，它并没有被普遍接受，批评者指出了他们认为该模型存在的根本缺陷。

攻击阶段与对策

2011年，洛克希德·马丁公司的计算机科学家描述了一种新的“入侵攻击链”框架或模型，用于防御计算机网络。 他们写道，攻击可能分阶段发生，并且可以通过在每个阶段建立的控制措施来阻止。从那时起，数据安全组织就采用了“网络攻击链”来定义网络攻击的各个阶段。

网络攻击链揭示了网络攻击的各个阶段：从早期的侦察到数据窃取的目标。 攻击链还可以用作管理工具，帮助持续改进网络防御。根据洛克希德·马丁公司的说法，威胁必须经过该模型中的几个阶段，包括：

1. 侦察：入侵者选择目标，对其进行研究，并试图识别目标网络中的漏洞。
2. 武器化：入侵者创建针对一个或多个漏洞量身定制的远程访问恶意软件武器，例如病毒或蠕虫。
3. 传递：入侵者将武器传输到目标（例如，通过电子邮件附件、网站或U盘）。
4. 利用：恶意软件武器的程序代码触发，对目标网络采取行动以利用漏洞。
5. 安装：恶意软件武器安装一个入侵者可以使用的访问点（例如“后门”）。
6. 命令与控制：恶意软件使入侵者能够对目标网络进行“键盘操作”的持续访问。
7. 目标行动：入侵者采取行动实现其目标，例如数据窃取、数据破坏或加密以进行勒索。

可以针对这些阶段采取防御性行动：

1. 检测：确定入侵者是否存在。
2. 拒绝：防止信息泄露和未经授权的访问。
3. 中断：停止或更改出站流量（到攻击者）。
4. 降级：反击命令和控制。
5. 欺骗：干扰命令和控制。
6. 遏制：网段更改。

美国参议院对2013年塔吉特公司数据泄露事件的调查包括基于洛克希德·马丁攻击链框架的分析。它确定了控制措施未能阻止或检测到攻击进展的几个阶段。

替代方案

不同的组织已经构建了自己的攻击链，试图对不同的威胁进行建模。FireEye提出了一种类似于洛克希德·马丁公司的线性模型。在FireEye的攻击链中，威胁的持久性得到了强调。该模型强调，威胁不会在一个周期后结束。

1. 侦察：这是攻击者收集有关目标系统或网络信息的初始阶段。这可能包括扫描漏洞、研究潜在的入口点以及识别组织内的潜在目标。
2. 初始入侵：一旦攻击者收集到足够的信息，他们就会试图入侵目标系统或网络。这可能包括利用软件或系统中的漏洞，利用社会工程技术欺骗用户，或使用其他方法获得初始访问权限。
3. 建立后门：在获得初始访问权限后，攻击者通常会创建一个后门或一个进入受感染系统的持久入口点。这确保了即使初始入侵被发现和缓解，攻击者仍然可以重新获得访问权限。
4. 获取用户凭据：在系统中立足后，攻击者可能会试图窃取用户凭据。这可能涉及诸如键盘记录、网络钓鱼或利用弱身份验证机制等技术。
5. 安装各种实用程序：攻击者可能会在受感染的系统上安装各种工具、实用程序或恶意软件，以方便进一步的移动、数据收集或控制。这些工具可能包括远程访问木马（RAT）、键盘记录程序和其他类型的恶意软件。
6. 权限提升/横向移动/数据窃取：一旦进入系统，攻击者就会寻求提升其权限，以获得对网络的更多控制权。他们可能会在网络内横向移动，试图访问更有价值的系统或敏感数据。数据窃取涉及窃取并将有价值的信息传输到网络之外。
7. 维持持久性：此阶段强调攻击者的目标是在受感染的环境中保持长期存在。他们通过不断逃避检测、更新其工具以及适应任何安全措施来做到这一点。

批评

对洛克希德·马丁公司的网络攻击链模型作为威胁评估和预防工具的批评之一是，第一阶段发生在被防御网络之外，因此难以识别或防御这些阶段的行动。 同样，据说这种方法强化了传统的基于边界和恶意软件预防的防御策略。 其他人则指出，传统的网络攻击链不适合对内部威胁进行建模。 考虑到成功入侵内部网络边界的攻击的可能性，这一点尤其令人担忧，这就是为什么组织“需要制定一项应对防火墙内攻击者的策略。他们需要将每个攻击者都视为潜在的内部人员”。

统一攻击链

统一攻击链由18个独特的攻击阶段组成，这些阶段可能发生在高级网络攻击中。

统一攻击链是由Paul Pols在2017年与Fox-IT和莱顿大学合作开发的，旨在通过整合和扩展洛克希德·马丁公司的攻击链和MITRE的ATT&CK框架（两者都基于James Tubberville和Joe Vest构建的“进入、停留和行动”模型）来克服对传统网络攻击链的常见批评。统一版本的攻击链是由18个独特的攻击阶段组成的有序排列，这些阶段可能发生在端到端的网络攻击中，涵盖了在防御网络之外和内部发生的活动。因此，统一攻击链改进了传统攻击链的范围限制和MITRE的ATT&CK中战术的时间不可知性。统一模型可用于分析、比较和防御高级持续性威胁（APT）发起的端到端网络攻击。 2021年，Paul Pols发表了关于统一攻击链的后续白皮书。

扩展阅读

• Skopik, Florian; Pahi, Timea. Under false flag: using technical artifacts for cyber attack attribution. Cybersecurity. 2020, 3 (1): 8. ISSN 2523-3246. doi:10.1186/s42400-020-00048-4  （英语）.